使用POST请求实现搜索是否为不良实践？及SQL注入相关问题

一、用POST请求实现搜索是否属于不良实践？ #

严格来说，这不算“不良实践”，但确实不符合大多数场景下的最佳实践，原因主要有几点：

• 语义不符：RESTful架构规范中，GET请求用于幂等的查询操作（只读取数据，不修改服务器状态），而POST通常用于创建/修改资源的操作。搜索属于典型的查询场景，用GET更符合HTTP方法的语义。
• 体验限制：GET请求的参数会包含在URL中，用户可以直接收藏、分享搜索结果链接；而POST请求的参数在请求体里，无法直接保存或分享搜索状态。
• 缓存问题：浏览器和代理服务器默认会缓存GET请求的响应，能提升重复搜索的性能；POST请求默认不会被缓存，每次都要重新发起完整请求。

不过如果你的搜索场景有特殊需求（比如搜索参数非常多、包含敏感内容不希望出现在URL中），用POST也完全可行——你已经确认功能正常且无注入风险，这一点上没问题，只是常规情况下更推荐用GET。

二、若搜索字段存在SQL注入漏洞，用户能否执行DROP表操作？ #

有可能，但取决于两个关键条件：

• 数据库用户权限：如果你的应用程序连接数据库时使用的账号拥有DROP权限（很多新手会用root/超级管理员账号连接数据库，这是高危操作），那么攻击者可以通过注入构造出执行DROP表的语句。
• 数据库是否允许多语句执行：比如MySQL中如果开启了multi_statement选项，攻击者可以构造类似这样的注入 payload：

  '; DROP TABLE your_shopping_list_table; --
  

  这种情况下，数据库会执行第一个查询后，接着执行DROP语句。如果不允许多语句，攻击者可能需要用其他技巧（比如通过报错注入、时间盲注等间接破坏，但直接DROP的难度会高一些）。

哪怕不能直接执行DROP，SQL注入漏洞依然会带来严重危害：比如篡改商品数据、窃取敏感信息（如用户隐私、数据库账号）、拖库等，所以一定要确保注入风险被彻底修复。

内容的提问来源于stack exchange，提问作者M Hussain